Mozilla-Entwickler Über die Durchführung einer neuen Studie im Rahmen der Vorbereitung zur Implementierung der Funktion zur DNS-Abfrage über HTTPS (DoH, DNS über HTTPS). Im Verlauf des Experiments wird bei den Nutzersystemen einer Auswahl von Firefox-Versionen aus den USA statistische Daten zur Nutzung von Kindersicherungssystemen und Unternehmensresolvern gesammelt. Die Teilnahme an dem Experiment kann über die Seite „about:studies“ abgelehnt werden (die Studie wird dort als „Detection Logic for DNS-over-HTTPS“ aufgeführt).
Für die Studie werden anonymisierte Daten gesammelt, die lediglich Zähler enthalten, ohne spezifische Adressen und Domains anzugeben. Um Kindersicherungssysteme zu identifizieren, wird eine Anfrage zur Namensbestimmung von exampleadultsite.com gesendet, und falls diese nicht mit der tatsächlichen IP übereinstimmt, kann dies als Hinweis darauf gewertet werden, dass die Blockierung von Erwachsenen-Inhalten auf DNS-Ebene aktiv ist. Weiterhin werden IP-Adressen die Rückgaben für Google und YouTube evaluiert, um deren Umleitung auf restrict.youtube.com, forcesafesearch.google.com und restrictmoderate.youtube.com zu überprüfen.
Um die Nutzung interner Unternehmensresolver zu identifizieren, werden die bei der Öffnung von Websites bestimmten Hosts auf den Einsatz untypischer Top-Level-Domains (TLD) und deren Rückgabe für interne Adressen überprüft. Der Hintergrund des Experiments sind Bedenken, dass die standardmäßige Aktivierung von DNS-over-HTTPS die Funktionsfähigkeit von über DNS operierenden Kindersicherungssystemen beeinträchtigen könnte sowie Probleme für Nutzer von Unternehmensnetzwerken erzeugen könnte, die DNS-Server verwenden, die Informationen über interne Domains zurückgeben, die im externen Netzwerk nicht sichtbar sind.
Es sei daran erinnert, dass DoH für die Vermeidung von Leaks über angeforderte Hostnamen durch die DNS-Server der Anbieter, zur Bekämpfung von MITM-Angriffen und zur Manipulation von DNS-Datenverkehr nützlich sein kann, um Blockaden auf DNS-Ebene zu umgehen oder um den Betrieb bei Nichterreichbarkeit der DNS-Server (zum Beispiel beim Arbeiten über einen Proxy) zu ermöglichen. Wenn in der Regel DNS-Anfragen direkt an die im System konfigurierten DNS-Server gesendet werden, wird beim DoH die Anfrage zur IP-Adresse des Hosts in HTTPS-Datenverkehr enkapsuliert und an den HTTP-Server gesendet, auf dem der Resolver die Anfragen über Web-APIs verarbeitet. Der bestehende Standard DNSSEC verschlüsselt nur zur Authentifizierung von Client und Server, schützt jedoch den Datenverkehr nicht vor Abfangen und garantiert keine Vertraulichkeit der Anfragen.
Um DoH in about:config zu aktivieren, sollten Sie den Wert der Variable network.trr.mode ändern, die seit Firefox 60 unterstützt wird. Der Wert 0 deaktiviert DoH vollständig; 1 verwendet DNS oder DoH, je nachdem, was schneller ist; 2 verwendet standardmäßig DoH, wobei DNS als Backup fungiert; 3 verwendet nur DoH; 4 ist der Spiegelungsmodus, in dem DoH und DNS parallel verwendet werden. Standardmäßig wird der DNS-Server von CloudFlare verwendet, dieser kann jedoch über den Parameter network.trr.uri geändert werden, zum Beispiel können Sie „https://dns.google.com/experimental“ oder „https://9.9.9.9/dns-query“ einstellen.
Quelle: opennet.ru
